Ping über mehrere VPN Tunnel

Hallo der Fehler liegt sicherlich im Detail leider geht es nicht.

Wenn ich bei Z in der Fritz Box bei Satische Routen folgende eintrage:

192.168.176.0 Gateway 192.168.179.201 (Gateway 192.168.177.201 lässt sich nicht eintragen -> Fehler Route nicht zulässig)
192.168.177.0 Gateway 192.168.179.201

bei Y

192.168.179.0 Gateway 192.168.177.201
192.168.176.0.Gateway 192.168.177.201

Bei X

192.168.177.0 Gateway 192.168.176.201
192.168.179.0.Gateway 192.168.176.201

Dann geht überhaupt kein Ping mehr. Keine Verbindung

Wenn nur bei X im Lancom Router die satische Route drinnen ist und bei Y und Z keine Dann kann ich von X - Y pingen und Y - Z bingen aber nicht Z-X
also muss doch bei Y irgendwo der hund begraben sein. Wenn ich kann als Gateway bei der FritzBox kein Gateway bei statischer ROute einragen welches außerhalb den eigenen IP Bereiches ist.

Fall du gerade zeit hast könnten wir das auch per Fernwartung mal ansehen natürlich gegen Aufwandsentschädigung

Eine Lösung wäre natürlich auch irgendwie X und Z per VPN direkt zu verbinden aber das bekomme ich glaube ich nicht hin da beide nicht öffenltich erreichbar sind.

Nicht zu vergessen am Standort X ist ein Lancom Router mit der 192.168.176.200 dort ist die Statische Route auf Gateway 192.168.176.201 mit Adressen: 192.168.177.0 und 192.168.179.0 eingerichtet

an der FritzBox bei X also der 192.168.176.201 ist keine Statische Route drinnen (muss ich da noch eine Eintragen denn die Verbindung zu 192.168.177.0 Netz klappt einwandfrei nur die zu 192.168.179.0 nicht

Werde das gleich noch einmal testen DynDns geht nicht da die VPN Router hinten einem anderen Router stehen und dessen Verbindung mitnutzen. Diese Router welche eigentlich DSL aufbauen können nicht verändert werden auch kein Forwarding etc.

192.168.176.0 GW 192.168.176.201 geht nicht --> Route nicht zulässig

Ich kann als GW anscheinend nur eine IP aus dem Eigenen Bereich eintragen also aus 192.168.179

Danke für deine Ausführungen leider habe ich deinem Fall nur eine wage Vorstellung wie ich das umsetzen soll da ich beim Thema VPN nur mäßige Erfahrungen habe. Ich weis, dass FritzBoxen ziemlich viel VPN Verbindungen akzeptieren und sich einrichten lassen allerdings muss dies alles per Hand in die VPN CFG Dateien geschrieben werden und in die FB übertragen werden.

Leider übersteigt das meine fähigkeiten.

Gäbe es nicht am Standort Y eine möglichkeit per Software diese Verteilung vornehmen zu lassen dort steht ein Server 2012R2 welcher DC ist und DNS sowie DHCP verwaltet.

Gibt es keine "einfache" Softwarelösung welche diese Aufgabe übernimmt also z.B. auf Pings für 192.168.176.3 aus dem Netz 192.168.179.0 lauscht und diese dann an 192.168.176.0 weiterleitet?

Ich bin ein wenig weiter gekommen.

EINER der großen Knackpunkte war, dass in den .CFG Dateien für die VPN Verbindungen die Accesslist erweitert werden muss:

phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.179.0 255.255.255.0",
"permit ip any 192.168.176.0 255.255.255.0"; <<<--- wurde z.b. bei Y hinzugefügt

da sonst logischerweise die Tunnels die IPs nicht durchlassen.

Die CFG von Y sieht so aus:

vpncfg {
connections {
enabled = yes;
conn_type = conntype_lan;
name = "Standort Y";
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 0.0.0.0;
remotehostname = "Standort Z";
localid {
fqdn = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";
}
remoteid {
fqdn = "Standort Z";
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.177.0;
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.179.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.179.0 255.255.255.0",
"permit ip any 192.168.176.0 255.255.255.0"; <-- habe ich zugefügt
} {
enabled = yes;
conn_type = conntype_lan;
name = "fass";
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 0.0.0.0;
remotehostname = "Standort X";
localid {
fqdn = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";
}
remoteid {
fqdn = "Standort X";
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.177.0;
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.176.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.176.0 255.255.255.0",
"permit ip any 192.168.179.0 255.255.255.0"; <-- habe ich zugefügt
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

Permit ip any habe ich natürlich auch bei Z und X Erweitert.

So weit so gut nur lässt sich jetzt Standort X und Y nicht mehr untereinander anpingen von Y auf Z geht es .... hmmm
Naja das lässt sich sicherlich noch herausfinden.

P.S. zu den Routern.

FritzBoxen sind wohl in vielen Bereichn wesentlich bedienbarer als andere. (es kommt natürlich auf das Einsatzgebiet an)

Lancom Router sind in meinen Augen die besten

ich hatte auch schon einen TDT Router bei einem Einsatzleitwagen der Feuerwehr im Einsatz da hat sogar der Support von TDT 3 Stunden gebraucht eine OpenVpn verbindung zu einer gegenstelle aufzubauen. Die Dinger sind fast nicht konfigurierbar.

Lancom ist ausgeschieden da ich für die Redudanz an den Standorten XYZ ist ca. 800km jeweils von einander entfernt jeweils 2 Router stehen habe. Also eine FritzBox und eine mit gespiegelten Einstellunge, damit beim Versagen (z.b. durch äußere Einwirkungen oder sindiges) ein Leihe Vor Ort schnell die 2. Box anschließen kann damit Fernwartung möglich ist.

Lancom war da leiter schlichtweg zu teuer.

Ich habe sehr gute IT Kenntnisse allerding hatte ich bis jetzt noch die mehr als eine LAN LAn oder LAN Client Kopplung.

Diese Konstelation hier hatte ich so einfach noch nicht.

Leider nicht die Ausgangssituation gelesen der Lancom Router ist öffentlich nicht erreichbar...

Falls jemand interessiert ist hier die Lösung:

Ich habe ihn entfernt da keiner den wirklich entscheidenten Hinweis leisten konnte. Sonst hätte ich Ihn natürlich gewährt.
Gib mir n Spendenkonto vom Forum dann werde ich das machen.
P.S. als Nachweis poste ich sogar den Beleg!


Da ich die Lösung bereits gefunden habe, habe ich naütlich den Eintrag entfernt da sonst ja jetzt jemand noch mir die "Lösung" schreiben könnte.

P.S. ich habe mir auch extra die Mühe gemacht eine Anleitung für das Forum zu schreiben, damit meine Nachfolger auf das Forum kommen und wenigstes die Werbeeinnahmen steigen ;)

Die Sicherheitsbedenken sind sicherlich berechtigt.

Der "Schutz" wird Global von G-Data und einer Softwarefirewall sowie Device Control sicher gestellt.

Ich halte nicht viel von teuren Firewall Lösungen etc. (kommt natürlich auf den Kunden an)

Denn in den meisten Netzwerken reicht es aus wenn ich einem Mitarbeiter unter einem Vorwand einen USB Stick unterjubel. (Geht sogar bei Sony).

Also wenn keine "wichtigen" oder "teuren" Plände, Daten etc im Netzwerk sind ist mein Ansatz eine extrem gute und schnelle Datensicherung.

Denn mal ehrlich einen Laien Hacker hält G-Data und die externe Firewall auf. Ein profi lächelt doch nur drüber der es auf eine Firma abgesehen hat. Egal ob dieser Firewall im Wert von 5.000€ installiert hat oder nicht.

Aber darüber lässt sich sicherlich streiten.

Wenn die Anleitung nicht passt dann halt wieder löschen.
P.S. wegen dem entscheidenten Hinweis:

Ich hatte geschrieben 50€ für den der mir den entscheidenten Hinweis gibt und das hat definitiv keiner es waren lediglich bruchstücke zum Erfolg. Aber wie gesagt. nennt mir n Spendenkonto und ich üebrweise 50€ ans Forum hat mir schließlich in der Summe geholfen. Daran soll es nicht scheitern.

Danke an alle die gepostet haben!